Les voitures modernes peuvent être déverrouillées, démarrées et localisées à distance. Pourtant, une nouvelle étude suggère que la technologie qui rend cela possible peut aussi aider les annonceurs à suivre et à identifier la personne au volant.
Des chercheurs de la Northeastern University, en collaboration avec Consumer Reports, ont examiné 21 véhicules et 30 applications compagnons. Dix-neuf véhicules ont contacté des entreprises externes, et sept applications ont transmis des identifiants sensibles à des entreprises liées à la publicité et au suivi. Ces résultats mettent en évidence des risques pour la vie privée qui dépassent le cadre des téléphones et des ordinateurs.
Cela soulève une question plus large en matière de vie privée, à mesure que les véhicules se connectent de plus en plus à Internet et à l’identité numérique de leurs propriétaires. Au lieu de suivre une personne uniquement par l’intermédiaire de son téléphone, les entreprises publicitaires pourraient disposer d’une autre source : la voiture qui transporte cette personne, les endroits où elle se rend et les comptes numériques qui y sont associés.
Les chercheurs ont également demandé aux constructeurs d’expliquer ce partage de données et ont constaté que leurs réponses faisaient souvent porter la responsabilité sur les consommateurs ou sur des services tiers.
Ce que les chercheurs ont découvert
Pour déterminer où les voitures connectées envoyaient leurs informations, les chercheurs et des journalistes d’investigation ont testé 21 véhicules représentant 19 marques.
Les tests se sont déroulés d’octobre 2024 à août 2025 et ont porté sur des véhicules des millésimes 2022 à 2025, à l’arrêt comme en circulation. Lors des tests des applications compagnons, les chercheurs ont accepté toutes les autorisations demandées, notamment l’accès au suivi et à la localisation. Onze véhicules électriques ont également été placés dans une tente de Faraday afin de bloquer les signaux cellulaires et de vérifier si leur trafic basculerait vers une connexion Wi-Fi surveillée.
Le chiffrement a empêché les chercheurs de lire le contenu des transmissions des véhicules, mais ils ont pu identifier les destinations contactées, notamment des services de publicité, de suivi et d’analyse. Des tests distincts des applications leur ont permis d’examiner les informations personnelles transmises. Le fait de contacter un service externe ne permet pas, à lui seul, d’établir comment le destinataire a utilisé les données.
Les chercheurs ont également examiné les applications compagnons des constructeurs automobiles, ce qui leur a permis d’inspecter plus précisément les informations transmises. L’inclusion de ces applications dans l’analyse a révélé des contacts supplémentaires avec des services de publicité, de suivi et d’analyse, certains cas ajoutant plus de deux douzaines de traceurs.
Où se situe l’impact
Des données de localisation précises peuvent à elles seules révéler des habitudes de déplacement sensibles. Associer des relevés de localisation répétés à un VIN, un numéro de téléphone ou une adresse e-mail pourrait faciliter leur rattachement à une personne donnée, et potentiellement révéler où elle vit, travaille et se rend régulièrement.
Ces informations pourraient également être associées aux données déjà collectées à partir des smartphones et d’autres applications. Il pourrait en résulter un profil beaucoup plus complet d’une personne, offrant aux annonceurs, aux courtiers en données et à d’autres entreprises davantage de moyens pour la comprendre et la cibler.
Cette inquiétude intervient alors que le réseau de lecteurs de plaques d’immatriculation de Flock fait face à une opposition croissante du public aux États-Unis, en raison de sa capacité à enregistrer et à stocker des données sur les déplacements des véhicules. Si les caméras de Flock et les systèmes des voitures connectées recueillent les données de manière différente, ils montrent tous deux comment les véhicules peuvent devenir une source d’informations détaillées sur les déplacements des personnes — et comment ces informations peuvent étendre la capacité à les suivre au-delà de leurs téléphones.
Quelle voie suivre ?
Les chercheurs ont contacté 17 constructeurs et reçu 14 réponses. Tous les répondants ont invoqué des contrats régissant l’utilisation des données par des tiers. Cinq ont évoqué les navigateurs intégrés, tandis que sept ont déclaré que les consommateurs étaient responsables de l’acceptation des conditions des logiciels tiers.
Honda a adopté une approche différente. Selon les chercheurs, l’entreprise a modifié ses pratiques de collecte de données et demandé à son prestataire tiers, Amplitude, de supprimer les données de géolocalisation qu’il avait reçues.
Les conducteurs devraient examiner à la fois les services connectés de leur véhicule et son application compagnon lorsqu’ils évaluent les questions de confidentialité. Les réglages disponibles varient, et refuser la collecte de données peut limiter les fonctionnalités connectées.
Avant d’activer les services connectés, les conducteurs devraient :
- Examiner les réglages de confidentialité et de partage des données dans le véhicule et dans son application compagnon.
- Vérifier les autorisations de localisation et de suivi de l’application, et limiter les accès facultatifs lorsque cette possibilité existe.
- Vérifier quelles fonctionnalités connectées seraient limitées ou désactivées avant de refuser la collecte.
- Demander au service d’assistance du constructeur quels contrôles du partage des données et quelles options de suppression sont disponibles pour leur modèle et leur compte.
L’objectif n’est pas d’éviter complètement les voitures connectées — c’est de toute façon déjà la direction que prend l’industrie automobile. Il s’agit toutefois de savoir à quoi vous consentez lorsque vous connectez une voiture à votre téléphone, à votre localisation et à votre identité numérique.
En savoir plus : les inquiétudes concernant la transmission de données sensibles aux annonceurs s’étendent également au secteur de la santé, comme le recours de la FTC contre Hims & Hers pour partage présumé de données de santé le met en lumière.